Scan rapide ou audit complet ?

Le scan rapide lit ton site comme n’importe quel visiteur. L’audit complet va plus loin : il vérifie ce qu’un inconnu peut lire dans ta base et tes API. Il demande deux choses, un site prouvé et une offre Solo ou Pro.

Le scan rapide

Il regarde ce qui est visible de l’extérieur, sans rien tester :

• des fichiers qui ne devraient pas être en ligne (.env, dossier .git, sauvegardes, source maps) ;
• des clés secrètes dans le JavaScript de tes pages ;
• les en-têtes de sécurité, les cookies, HTTPS et le certificat ;
• les versions de ta stack qui ont une faille connue ;
• le projet Supabase ou Firebase que ton site utilise.

Il envoie au plus 500 requêtes et s’arrête au bout de 30 secondes. N’importe qui peut le lancer sur n’importe quel site : c’est pour ça que, sur un site non prouvé, Rustine ne montre que deux nombres et pas le détail.

L’audit complet

Il fait tout ce que fait le scan rapide, puis il regarde dedans, toujours en lecture seule :

• les tables Supabase qu’on peut lire avec la clé publique, les buckets ouverts, les réglages d’authentification ;
• les règles Firebase (Firestore, Realtime Database, Storage) restées en mode test ;
• une politique CORS trop ouverte ;
• les panneaux d’administration exposés ;
• les API qui renvoient trop de données personnelles.

Il envoie au plus 2 500 requêtes, pendant 10 minutes au maximum, et jamais plus de 5 par seconde sur ton site. Il ne modifie rien et n’écrit rien dans ta base.

Pour Supabase et Firebase, l’audit n’interroge ton projet que si tu as confirmé qu’il est à toi.

Ce qu’il faut pour lancer un audit

Ce que ça change sur ton score

Un scan rapide ne peut pas promettre ce qu’il n’a pas regardé : son score ne dépasse jamais 80. Après un audit complet, le score peut monter jusqu’à 100.

Combien ça coûte

Chaque scan, rapide ou complet, compte dans le quota du mois de ton projet. Si tu relances le même scan sur le même site moins d’une heure après, Rustine te rend le résultat récent sans rien décompter.